Help & probleemoplossing
MTA-STS
Wat dit is
MTA-STS laat een domein vereisen dat inkomende mail alleen wordt bezorgd over geauthenticeerde TLS naar de vermelde MX-hosts. Het combineert een DNS-record (_mta-sts) met een beleidsbestand dat wordt aangeboden op https://mta-sts.jouwdomein.com/.well-known/mta-sts.txt.
Hoe je je resultaat leest
Een gezonde opzet toont zowel het DNS-record als een ophaalbaar beleidsbestand, met mode: enforce voor echte bescherming (testing rapporteert alleen). Controleer of de mx:-items in het beleid daadwerkelijk overeenkomen met je MX-hostnamen.
Veelvoorkomende problemen en hoe je ze oplost
DNS-record bestaat maar het beleidsbestand is onbereikbaar
Hoe het zich uit: Verzenders kunnen het beleid niet ophalen, dus MTA-STS levert stilletjes niets op; de controle rapporteert het mislukte ophalen.
Hoe je het oplost: Bied het bestand aan op precies https://mta-sts.jouwdomein.com/.well-known/mta-sts.txt met een geldig certificaat voor het mta-sts-subdomein. Een piepkleine statische site of een CDN-worker volstaat — maar het moet online blijven.
De mx-items in het beleid komen niet overeen met de echte MX-records
Hoe het zich uit: In enforce-modus begint legitieme mail van strikte verzenders geweigerd te worden na een MX-wijziging.
Hoe je het oplost: Werk het beleidsbestand bij telkens wanneer MX-records veranderen (en verhoog de id= in het DNS-record zodat caches verversen). Automatiseer deze koppeling als MX-wijzigingen enigszins frequent zijn.
Voor altijd vast in testing-modus
Hoe het zich uit: TLSRPT-rapporten komen binnen maar downgrade-aanvallen zouden nog steeds slagen — testing-modus blokkeert nooit iets.
Hoe je het oplost: Zet na een schone periode in testing (bekijk je TLSRPT-rapporten) mode: op enforce en verhoog de id=.